Qué es y cómo funciona la falla
El plugin Swipe para WordPress, en versiones hasta la 1.4, no autentica correctamente una solicitud de inicio de sesión antes de emitir una cookie de sesión de WordPress. Esto permite a atacantes no autenticados iniciar sesión como un usuario existente, incluyendo un administrador, siempre que ese usuario tenga una sesión de aplicación activa en ese momento.
Productos y versiones afectadas
La vulnerabilidad afecta al plugin Swipe for WordPress en todas las versiones hasta la 1.4 inclusive.
Impacto y probabilidad de explotación
El impacto es crítico, ya que permite a un atacante tomar control completo de un sitio WordPress comprometiendo una cuenta administrativa. Sin embargo, la probabilidad de explotación en la naturaleza se considera baja actualmente. El puntaje EPSS indica solo un 0.1% de probabilidad de explotación en los próximos 30 días (percentil 3%). Además, una búsqueda en Shodan no detecta hosts expuestos en internet con esta vulnerabilidad, lo que sugiere un volumen real de objetivos muy limitado. El INCIBE-CERT de España ha clasificado la severidad de este CVE como P (Prioridad).
Qué hacer
Los administradores de sitios que utilicen el plugin Swipe deben actualizarlo a la última versión disponible inmediatamente, asegurándose de que sea superior a la 1.4.
| CVE | CVE-2026-119258 |
|---|---|
| Severidad | HIGH |
| EPSS | 0.1% en 30 días (percentil 3) |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).